「米シティグループ顧客情報流出、その手口は単純だった」記事へのコメント

あまりにもお粗末

[duenmynoth (34577)]

普通なら基本設計の時点で却下されるような駄目仕様
・・・だけどもうIT業界自体が「普通」じゃないんだろうな、と思わされる

＃こういうのがあるから「JUnitのカバレッジ100%だから絶対大丈夫！」とか言われても信用できないんですよね

Re:

[goji (949)]

基本設計の時点でダメって、REST [wikipedia.org]的なURL構造がダメってこと？ 認証が行われないのはもちろんバグだし、それがテストであぶり出されないのは問題だけれどそれはURL構造とは関係ない。

Re:

[Anonymous Coward]

URLに秘密情報を入れてはいけないってほとんど常識の部類だと思ったんだけど
そう油断して基本設計でわざわざ明記しなかったことがこの事故につながったのか。とても良くわかった

Re:

[goji (949)]

参考までに教えて欲しいのだけれど、FORMから口座番号をPOSTするのどれだけの違いがありますか？

Re:あまりにもお粗末

[esumi (15966)]

不要である筈の、初回のログイン認証後であっても、毎回のsubmitで口座番号情報を送信させている事に不審を抱き、ちょっと番号いじってみたら
実際ログイン後でも毎回その情報が利用されサーバ側から読み込まれる口座情報が変化するアホな仕様だったって事ですねぇ

確かに本質的な間違いはＵＲＬにあったとかＧＥＴだったとかＰＯＳＴだったとかでなく、ログイン認証後の口座情報識別を毎回させていた事にあるように受け取れます

#誰か気付けよ